Vídeo: NA PRÁTICA: COMO FUNCIONA A INVASÃO DE UM SITE (Novembro 2024)
Ao escrever sobre a segurança do Android, costumo ver o mesmo problema repetidamente (SSL, pessoal! Vamos lá!). Pedimos ao CEO do Widdit Noam Fine e ao chefe de desenvolvimento móvel Nir Orpaz que explicassem por que os desenvolvedores do Android fazem as escolhas de segurança que fazem e o que precisa ser feito melhor depois de lidar com uma crise de segurança própria.
Falta de conhecimento
Conversando com os desenvolvedores do Widdit, parece haver uma desconexão entre os players do ecossistema Android. "Os usuários não são instruídos o suficiente para ver o que estão adicionando ao telefone", disse Fine. "Não sei se todo mundo realmente se importa tanto."
Os desenvolvedores, por outro lado, nem sempre sabem os riscos que seus aplicativos podem representar. "Os desenvolvedores não entendem completamente que o que transmitem são informações pessoais", disse Orphaz. Fine concordou, dizendo que não havia regras rígidas e rápidas sobre quais informações eram realmente "pessoais".
Outro problema são anunciantes de terceiros que pagam aos desenvolvedores para incluir kits de desenvolvimento de software (SDKs) em seus aplicativos para coletar informações sobre os usuários. Os anunciantes podem compilar dados de vários aplicativos em dossiês chocantemente detalhados. Por exemplo, um aplicativo pode solicitar a sua idade e outro o seu nome, mas o mesmo anunciante pode ter acordos com ambos.
Vale a pena notar que o Widdit está entre o desenvolvimento de aplicativos e a publicidade. Eles desenvolvem uma plataforma SDK que pode ser inserida nos aplicativos para que o desenvolvedor possa ganhar algum dinheiro com suas criações.
Para Fine, a falta de educação do usuário coloca o ônus da segurança inteiramente sobre os desenvolvedores. "Se você se preocupa com sua reputação, investe muito esforço em mantê-la. Isso significa que suas práticas de negócios são tão importantes quanto suas práticas de segurança", disse Fine. Ele incentivou os desenvolvedores a pensar com cuidado antes de se inscrever com anunciantes e instalar SDKs em seus aplicativos. Ele também incentivou os desenvolvedores a examinar as permissões exigidas pelos SDKs antes de habilitá-los em seus aplicativos. "Se você como desenvolvedor não solicitou essas permissões, está disposto a conceder essas permissões ao SDK?"
Desenvolvendo com segurança
Fine e Orphaz disseram que falar sobre segurança era uma coisa, mas implementá-la em aplicativos era outra. Manter uma conexão SSL criptografada para transmitir informações é uma boa prática, mas que pode ser um desafio para pequenos desenvolvedores. "Você precisa ter um servidor SSL, e às vezes isso não é fácil", explicou Orpaz. Vimos muitas empresas criticadas por evitar ou manipular SSL.
Algumas vulnerabilidades surgem até das funções mais básicas. Por exemplo, Fine apontou para a permissão Android que permite que os aplicativos se conectem à Internet. "Isso é algo que todo desenvolvedor faz", disse Fine. "Uma vez conectado à rede, isso é imediatamente uma vulnerabilidade".
Ele incentivou os desenvolvedores a usar o bom senso e mapear riscos potenciais dos recursos que eles incluem em seus aplicativos, além de coletar informações sobre os usuários. "Se você está fazendo isso, precisa parar e pensar 'o que estou fazendo para minimizar os riscos?'", Disse Fine. "Não sei se a maioria dos desenvolvedores faz isso."
Experiência em primeira mão
O Widdit teve seus próprios problemas de segurança, que relatamos em um post recente da Mobile Threat Monday. O sistema deles usa código SDK no aplicativo que chama diariamente um servidor remoto para baixar uma atualização para o telefone Android. Os pesquisadores de segurança a classificaram como perigosa, já que a comunicação foi tratada sem uma conexão SSL, potencialmente permitindo que um invasor interceptasse o arquivo e o substituísse por um malicioso.
Fine e Orphaz enfatizaram que sabiam sobre o problema antes que ele fosse anunciado pelos pesquisadores e já planejavam consertá-lo no futuro. "Essa vulnerabilidade foi percebida como tendo uma probabilidade muito baixa de acontecer. Depois que a entendemos melhor, cuidamos imediatamente e lançamos uma nova versão". Fine descreveu com êxito a realização de um ataque usando o Widdit como uma chance "uma em um bilhão".
Mas ele admitiu que uma mudança precisava ser feita. "Não foi bom o suficiente dizer que a probabilidade era realmente baixa", disse Fine.
É verdade que um invasor teria que se esforçar bastante para usar o Widdit para atacar o telefone de alguém. Certamente não seria o tipo de coisa que o golpista comum do Android tentaria. Mas os invasores podem reunir enormes recursos se o retorno for digno e o cenário de ameaças móveis estiver mudando o tempo todo. O que pode ser uma chance de um bilhão para um hoje, pode ser uma coisa certa amanhã.
Todos, Up Your Game
Os usuários do Android podem estar mais preocupados com a segurança por causa das revelações de Snowden sobre a coleta de dados da NSA, mas eles também devem procurar seus próprios aplicativos. Já vimos como as agências de espionagem estão aproveitando jogos como o Angry Birds para coletar informações. Fine disse que os usuários dirigem o ecossistema Android e, se exigirem mais segurança, os desenvolvedores terão que seguir.
"Todo mundo tem a responsabilidade, como usuário do Android, de definir o padrão e educar a si mesmo e a seus filhos", disse Fine. "Nossos filhos, quando crescerem, não saberão um momento em que tudo não estava sendo compartilhado". Fine continuou que os desenvolvedores "precisam sentir o mesmo senso de responsabilidade".
